SOC 24/7 multicliente para un gran grupo de servicios

El servicio arrancó con un alcance clásico: vigilar los activos del propio grupo — decenas de sociedades, cada una con sus sistemas, sus webs y su casuística. Ya era un reto de escala: un grupo multisector no tiene un perímetro, tiene muchos, y el SOC tuvo que aprender la letra pequeña de cada sociedad para distinguir lo anómalo de lo simplemente distinto.

El giro llegó cuando el grupo puso encima de la mesa la otra mitad de su negocio: los servicios digitales que presta a sus clientes finales, con cientos de webs y activos gestionados. Si el grupo era responsable de esas plataformas, ¿quién vigilaba su seguridad? Nadie, de forma continua. La respuesta natural fue extender el SOC: los activos de los clientes del grupo entrarían en la misma vigilancia 24/7, pero como lo que son — activos de terceros, con su propio escalado y con el grupo como interlocutor ante su cliente. Eso convirtió un SOC dedicado en un SOC multicliente.

1. Arquitectura multicliente desde el diseño — telemetría, alertas e informes segregados por cliente sobre la misma plataforma. Lo del grupo y lo de cada uno de sus clientes no se mezcla: cada activo sabe a quién pertenece, qué umbrales aplica y por qué canal escala.
2. Onboarding industrializado por oleadas — más de 200 webs y activos digitales no se incorporan uno a uno a mano. Se definieron plantillas de alta por tipo de activo, y los activos entraron por oleadas: cada una con su verificación de alertas y su cadena de escalado confirmada antes de marcar el activo como operativo.
3. Monitorización en tres planos: disponibilidad, integridad y ataques — que la web responda; que nadie haya alterado su contenido (defacement); y que los patrones de ataque web, la fuerza bruta sobre paneles y los picos anómalos salten como alertas. Con la caducidad de certificados y los cambios de DNS como plano de apoyo.
4. Playbooks por tipo de activo, no por cliente — una web corporativa, una tienda online y una API tienen respuestas distintas ante el mismo síntoma. Al estandarizar el playbook por tipo, la calidad de la respuesta no depende de qué cliente sea el afectado — y el servicio escala sin degradarse.
5. Escalado diferenciado: el grupo por un canal, sus clientes por otro — un incidente en un activo del grupo escala directo a su equipo; un incidente en un activo de un cliente del grupo escala al grupo como interlocutor, que decide cómo y cuándo comunicar con su cliente. El SOC contiene en ambos casos; la relación comercial no se toca.
6. Apoyo recurrente en migraciones e infraestructura — de la confianza del servicio continuo nacieron proyectos que no estaban en el contrato inicial: migraciones de plataformas, cambios de infraestructura y despliegues delicados con el SOC vigilando antes, durante y después.

Para el grupo, el resultado más valioso no es una métrica de detección: es que la seguridad dejó de ser un coste y pasó a ser parte de su propuesta. Sus clientes tienen las webs vigiladas 24/7 sin haber contratado un SOC — lo lleva el servicio digital que ya pagaban — y el grupo puede decir, con evidencia, que lo que gestiona está monitorizado. Un defacement en la web de un cliente del grupo se detecta en minutos y se gestiona antes de que el cliente lo descubra por una llamada.

Y el patrón que resume el caso: cuando el servicio continuo funciona, la relación crece sola. Las migraciones y los proyectos de infraestructura no salieron de una propuesta comercial — salieron de años de incidentes bien gestionados. La confianza operativa es el mejor pipeline comercial que existe.